在C#中操作文件系统的访问控制列表（ACL）时，除了设置允许访问的规则，还可以通过显式拒绝规则限制特定用户或用户组对文件、目录的访问权限。拒绝规则的优先级高于允许规则，即使某个用户同时被设置了允许和拒绝同一操作的权限，拒绝规则也会生效。
核心类说明
C#中操作文件系统ACL主要依赖以下类，这些类位于System.Security.AccessControl命名空间下：
FileSecurity：用于获取或设置文件的访问控制规则DirectorySecurity：用于获取或设置目录的访问控制规则FileSystemAccessRule：表示文件或目录的访问规则，包含用户、权限类型、访问类型（允许/拒绝）等信息FileSystemRights：枚举类型，定义文件系统的具体操作权限，如读取、写入、执行等AccessControlType：枚举类型，指定访问规则的类型，取值为Allow（允许）或Deny（拒绝）
设置文件拒绝访问权限的步骤
设置显式拒绝规则的核心流程如下：
- 获取目标文件或目录的现有
FileSecurity/DirectorySecurity对象 - 创建
FileSystemAccessRule实例，指定目标用户、要拒绝的权限、拒绝类型 - 将创建的规则添加到安全对象中
- 将更新后的安全对象应用到目标文件或目录
完整代码示例
设置文件拒绝读取权限
以下代码演示为指定用户设置对某个文件的显式拒绝读取权限：
using System;
using System.IO;
using System.Security.AccessControl;
using System.Security.Principal;
namespace FileAclDemo
{
class Program
{
static void Main(string[] args)
{
// 目标文件路径
string filePath = @"C:testexample.txt";
// 要拒绝权限的用户名，格式为 计算机名用户名 或 域名用户名
string targetUser = @"DESKTOP-ABCtestuser";
try
{
// 获取文件的现有安全设置
FileSecurity fileSecurity = File.GetAccessControl(filePath);
// 创建Windows用户标识
NTAccount userAccount = new NTAccount(targetUser);
// 将用户账户转换为安全标识符
SecurityIdentifier userSid = (SecurityIdentifier)userAccount.Translate(typeof(SecurityIdentifier));
// 创建拒绝规则：拒绝目标用户的读取权限
// FileSystemRights.Read 表示读取权限，AccessControlType.Deny 表示拒绝类型
FileSystemAccessRule denyRule = new FileSystemAccessRule(
userSid,
FileSystemRights.Read,
InheritanceFlags.None,
PropagationFlags.None,
AccessControlType.Deny
);
// 添加拒绝规则到安全设置
fileSecurity.AddAccessRule(denyRule);
// 将更新后的安全设置应用到文件
File.SetAccessControl(filePath, fileSecurity);
Console.WriteLine("文件拒绝读取权限设置成功");
}
catch (Exception ex)
{
Console.WriteLine($"设置权限失败：{ex.Message}");
}
}
}
}
设置目录拒绝写入和执行权限
目录的权限设置逻辑与文件类似，只是使用DirectorySecurity类，同时可以设置继承规则让子目录和文件继承该拒绝规则：
using System;
using System.IO;
using System.Security.AccessControl;
using System.Security.Principal;
namespace DirectoryAclDemo
{
class Program
{
static void Main(string[] args)
{
// 目标目录路径
string dirPath = @"C:testexampleDir";
// 要拒绝权限的用户名
string targetUser = @"DESKTOP-ABCtestuser";
try
{
// 获取目录的现有安全设置
DirectorySecurity dirSecurity = Directory.GetAccessControl(dirPath);
// 创建Windows用户标识
NTAccount userAccount = new NTAccount(targetUser);
SecurityIdentifier userSid = (SecurityIdentifier)userAccount.Translate(typeof(SecurityIdentifier));
// 创建拒绝规则：拒绝写入和执行权限，同时设置规则继承到子对象和子容器
FileSystemAccessRule denyRule = new FileSystemAccessRule(
userSid,
FileSystemRights.Write | FileSystemRights.ExecuteFile,
InheritanceFlags.ObjectInherit | InheritanceFlags.ContainerInherit,
PropagationFlags.None,
AccessControlType.Deny
);
// 添加拒绝规则
dirSecurity.AddAccessRule(denyRule);
// 应用更新后的安全设置到目录
Directory.SetAccessControl(dirPath, dirSecurity);
Console.WriteLine("目录拒绝写入和执行权限设置成功");
}
catch (Exception ex)
{
Console.WriteLine($"设置权限失败：{ex.Message}");
}
}
}
}
注意事项
- 设置ACL需要当前程序有足够的权限，通常需要以管理员身份运行程序，否则会抛出权限不足异常
- 拒绝规则的优先级高于允许规则，如果某个用户同时存在允许和拒绝同一操作的规则，拒绝规则会生效
- 删除拒绝规则可以使用
RemoveAccessRule方法，传入对应的FileSystemAccessRule实例即可 - 设置权限时建议先获取现有规则，避免覆盖原有的合法权限配置
规则优先级说明
文件系统ACL的规则优先级遵循以下逻辑：
| 规则类型 | 优先级 | 说明 |
|---|---|---|
| 显式拒绝 | 最高 | 无论是否有其他允许规则，显式拒绝都会生效 |
| 显式允许 | 次高 | 没有对应拒绝规则时，显式允许生效 |
| 继承拒绝 | 中等 | 从父目录继承的拒绝规则，优先级低于显式规则 |
| 继承允许 | 最低 | 从父目录继承的允许规则，优先级最低 |
注意：不要随意为系统用户或管理员账户设置拒绝规则，否则可能导致系统功能异常或无法恢复权限。
C#_ACL文件系统权限拒绝访问规则DirectorySecurityFileSecurity修改时间：2026-07-04 20:33:28